[原创]断其粮道——内核级拒绝服务攻击

风吹吹蛋蛋疼风w

1、何为断其粮道？
古时的军队大要分为两部门，一是前线作战的士兵，二是后方运粮的人员，两者共同构成一个系统，双方配合才能完成作战任务。两者之间保持互相通信，前者就可以派人向后者催粮，后者就可以派人向前者运粮，而这个运粮(通信)的关键就在于粮道，假如被敌军切断，那么前线士兵就无法向后勤人员征求粮食(哀求服务)，后勤人员也就无法为前线士兵运送粮食(提供服务)，此可谓之拒绝服务攻击。

以图示之，前线5万雄师因吃不上饭而开始出现军心不稳的情况了。。。


举一个例子来说明这个过程吧！用Windbg和win7 x86双机调试。
Kernel32.dll中的ReadProcessMemory，其代码如下：


原来是kernelbase.dll中的同名函数，继续反汇编，在+12附近的位置又调用了一个导入函数：


此时就到了关键的地方了。ntdll.dll中的NtReadVirtualMemory函数非常简单，就4句，非常简单，它的作用是什么呢？
在ntdll.dll中，大部门API也是这样的格式：
[Asm] 纯文本查看 复制代码mov eax, API索引号mov edx, 一个地址     ;该地址里的值是一个函数地址call [edx]                     ;调用这个函数，实现进入0环retn 14h

API索引号就是在3环调用了一个API，这个API在内核也就是0环，会有对应的内核函数，这个内核函数的地址在SSDT表中位于某个位置，这个位置就是索引号。进0环后，得找到对应的内核函数进行调用吧，就是根据这个索引号找到的。

一个地址，内里存的值是一个函数地址，反汇编看一下就知道了：


那其实就明确了，通过快速调用进0环后的第一个要执行的函数就是KiFastCallEntry。这个函数的作用就是拿着前面传下来的API索引号，获取相应的内核函数，调用之，从而实现应用层想要的功能。
整个过程整理如下：


此中的“粮道”我把它选为了Ntdll.dll中的KiFastSystemCall，上图蓝色的线，因为这个函数实现进入0环，3环的API就得通过这个必经之路进入0环。假如把这个必经之路给断了，那岂不是3环API进不了0环，从而0环无法为3环提供服务，这就达到了内核级拒绝服务攻击。另有一个地方也可以选为“粮道”，那就是MSR寄存器，进0环后要执行的函数地址是来源于MSR寄存器中的eip值，所以修改MSR寄存器也可以达到截断“粮道”的目的。

3、截断应用程序的粮道

根据第2节可知，3环进0环的关键函数是Ntdll.dll中的KiFastSystemCall，而且是以下面的情势来对它进行调用的：
[Asm] 纯文本查看 复制代码mov edx, 7ffe0300call [edx]                                ;           call KiFastSystemCall

7ffe0300地址里保存了KiFastSystemCall的地址。
其实这里涉及一个名为_KUSER_SHARED_DATA的数据结构，在3环和0环分别定义了一个该结构，此中在3环，这个结构地址固定为7ffe0000；在0环，这个结构地址固定为ffdf0000。这两个结构的内容完全雷同，它们偏移+300处的成员名为SystemCall，保存的正好就是KiFastSystemCall函数的地址，所以上面的7ffe0300就是这么来的。看图。

选b的话，Windbg会再次询问我雷同的问题，再次选b，就会中断了


假如选i的话，步骤和结果如下：

(注：图片是gif格式的，太大了上传不了，看不到动态效果，大家有兴趣的本身做实验就可以看出变化的)

修改ffdf0000+300处的成员也会使系统出现这种现象。以下是修改ffdf0000+300中断后的栈回溯信息。